Spesso, testare le vulnerabilità di sicurezza nei dispositivi Internet of Things (IoT) è come prendere a pugni un sacchetto di carta bagnata. I ricercatori segnalano una serie interminabile di vulnerabilità del firmware, comunicazioni wireless non sicure e consumatori che non si curano minimamente dei rischi associati alla connessione dei dispositivi intelligenti alla rete domestica.
Viste le premesse, la situazione potrà mai migliore?
Non tanto presto, secondo un test effettuato dai ricercatori dell’università federale brasiliana di Pernambuco e da quelli della University of Michigan, che hanno esaminato a fondo 32 app per smartphone utilizzate per configurare e controllare i 96 dispositivi abilitati per Wi-Fi e Bluetooth più venduti su Amazon.
I produttori di dispositivi IoT devono proteggersi su vari fronti, incluse le app stesse, le relative connessioni ai proxy cloud (che in genere vengono utilizzate durante la connessione iniziale) e successivamente la connessione wireless e l’autenticazione da e verso il dispositivo IoT.
E dato che sono molte anche le apparecchiature da testare, i ricercatori hanno iniziato lo studio deducendo le potenziali vulnerabilità tramite un’analisi euristica delle applicazioni stesse.
Purtroppo, il 31% delle app (pari a 37 dispositivi su 96) non utilizzava alcun tipo di crittografia, e un altro 19% utilizzava chiavi di crittografia hard-coded che potevano essere retroingegnerizzate da un hacker, anche se fossero state offuscate.
Per supportare le proprie conclusioni, i ricercatori hanno messo a punto una serie di attacchi proof of concept contro cinque dispositivi controllati da quattro app: l’app Kasa di TP-Link, utilizzata con più dispositivi, l’app LIFX, utilizzata con le lampadine della stessa azienda abilitate per il Wi-Fi, l’app WeMo di Belkin per la IoT e l’app e-Control di Broadlink.
Tre applicazioni non utilizzavano alcuna crittografia e tre comunicavano tramite rischiosi messaggi broadcast che avrebbero offerto a un hacker un veicolo per monitorare la natura della comunicazione fra app e dispositivo, trovando il modo di comprometterlo.
Basandosi sull’analisi approfondita di queste 4 app, i ricercatori hanno scoperto che non è difficile sfruttare tali vulnerabilità per creare un exploit efficace. Un hacker remoto deve semplicemente trovare il modo di installare l’exploit nello smartphone dell’utente, sotto forma di app non privilegiata o come script sulla rete locale.
Tra i dispositivi vulnerabili testati con l’app Kasa emerge TP-Link Smart Plug, che conta ben 12.000 recensioni su Amazon con una classificazione a stelle di 4,4 su 5:
TP-Link utilizza la stessa chiave di crittografia hard-coded per tutti i dispositivi di una determinata linea di prodotti e la configurazione iniziale del dispositivo viene effettuata tramite l’app senza eseguire un’autenticazione appropriata.
L’utopia dell’IoT
I ricercatori hanno tuttavia individuato nel termostato Nest, controllato dall’app di Google, un ottimo esempio di come si potrebbe implementare la sicurezza nella IoT (naturalmente se l’utente applica almeno la sicurezza di base), ad esempio effettuando tutte le operazioni di configurazione nel cloud tramite una connessione protetta con SSL/TLS oppure tramite Wi-Fi con WPA (diversamente da molti altri dispositivi IoT, il dispositivo Nest è dotato di un display che consente di eseguire la configurazione).
In sintesi, dai test emerge che la metà delle app presenta vari problemi di sicurezza. Naturalmente, alcuni fornitori sono peggio di altri, sensazione confermata dal fatto che i ricercatori non hanno ricevuto alcuna risposta dagli interessati durante il test dettagliato di cinque dispositivi.
Gli autori scrivono:
Nessuno di loro ha risposto alle nostre segnalazioni e, per quanto ne sappiamo, ha rilasciato patch relative a queste vulnerabilità.
Visto che la sicurezza dei dispositivi IoT viene messa in discussione sempre più spesso, un atteggiamento di questo tipo è come nascondere la testa sotto la sabbia.
*Tratto dall’articolo Half of IoT devices let down by vulnerable apps sul blog Naked Security
